Opération Falcon (2020) : le coup de filet qui a révélé l'échelle industrielle du BEC

On imagine souvent la compromission de messagerie professionnelle (BEC) comme l'œuvre d'un escroc isolé avec un compte Gmail. L'opération Falcon, action policière conjointe annoncée en novembre 2020, a montré tout autre chose : une organisation criminelle dont l'infrastructure de phishing avait touché des centaines de milliers d'organisations dans le monde.

Ce qui s'est passé

En novembre 2020, INTERPOL a annoncé que la police nigériane, en collaboration avec sa Direction de la cybercriminalité et la société de renseignement sur les menaces Group-IB, avait arrêté trois hommes à Lagos. Les suspects étaient présentés comme des membres d'un groupe cybercriminel organisé que Group-IB suit sous le nom de TMT, appartenant au vaste ensemble d'acteurs BEC nigérians que des chercheurs comme Palo Alto Networks Unit 42 désignent depuis longtemps sous l'étiquette SilverTerrier.

L'ampleur rapportée par les enquêteurs était frappante. INTERPOL a indiqué que le gang était soupçonné d'avoir compromis des organisations publiques et privées dans plus de 150 pays depuis 2017 — le nombre d'organisations ciblées étant estimé à environ 500 000. Group-IB a rapporté que des données provenant d'environ 50 000 victimes ciblées avaient été confirmées au cours de l'enquête. Une phase de suivi, l'opération Falcon II, a conduit à onze arrestations supplémentaires en décembre 2021.

Comment l'attaque a fonctionné

Selon l'analyse publiée par Group-IB, TMT menait des campagnes de phishing de masse plutôt que des intrusions sur mesure. Le mode opératoire était industriel :

Des courriels de phishing imitaient des bons de commande, des demandes de produits et même des avis d'aide liés à la COVID-19, avec des pièces jointes installant des logiciels malveillants du commerce largement disponibles — voleurs d'informations et outils d'accès à distance des familles AgentTesla, Loki, AzoRult, NanoCore et Remcos. Ces outils coûtent peu, exigent des compétences modestes et récoltent discrètement les mots de passe enregistrés dans les navigateurs et, surtout, les identifiants de messagerie.

Une fois l'accès à la boîte aux lettres obtenu, les opérateurs surveillaient la correspondance, repéraient les conversations de paiement et s'inséraient au moment décisif — détournant des règlements de factures ou émettant des instructions de paiement frauduleuses depuis des boîtes authentiques et de confiance. Les données volées et les comptes compromis étaient aussi revendus à d'autres acteurs, faisant du groupe un fournisseur de l'économie BEC au sens large.

L'impact

Trois arrestations, suivies de onze autres lors de Falcon II, n'ont pas mis fin au BEC nigérian — aucune opération isolée ne le pourrait. Mais l'opération Falcon a compté pour deux raisons. D'abord, elle a démontré une coopération opérationnelle entre les polices africaines, INTERPOL et les chercheurs du secteur privé, un modèle répété ensuite avec l'opération Delilah. Ensuite, ses chiffres ont recadré le BEC pour les défenseurs : quand l'infrastructure d'un seul gang peut toucher un demi-million d'organisations, recevoir un courriel de phishing d'identifiants n'est pas de la malchance. C'est la norme statistique pour toute organisation dotée d'une boîte de réception.

Leçons pour les organisations africaines

• Le BEC commence par du phishing banal, pas par de la sophistication. Un voleur d'informations bon marché dans un faux bon de commande suffit à amorcer une fraude à six chiffres.
• Les identifiants de messagerie sont les joyaux de la couronne. Protégez les boîtes avec une MFA robuste et alertez sur les règles de boîte de réception et connexions suspectes.
• Formez l'ensemble du personnel, pas seulement la finance. Les leurres de TMT visaient quiconque pouvait ouvrir une pièce jointe ; la boîte compromise en premier est rarement celle qui paie.
• Vérifiez les changements de paiement par un canal distinct. Une boîte authentique envoyant des instructions frauduleuses met en échec le filtrage purement technique.
• Signalez les incidents. Falcon reposait sur du renseignement partagé ; les victimes qui se taisent protègent le gang suivant.

Sources

• Annonce publique d'INTERPOL sur l'opération Falcon (2020) et l'opération Falcon II (2021)
• Recherches publiées de Group-IB sur le groupe cybercriminel TMT (2020)
• Série de recherches SilverTerrier de Palo Alto Networks Unit 42 (2014–2022)

Si un faux bon de commande arrivait demain dans les boîtes de votre équipe, combien l'ouvriraient ? Notre évaluation gratuite de maturité du risque humain vous aide à répondre honnêtement à cette question.